(Julio 12 de 2023) “Por la cual se resuelve un recurso de apelación” VERSIÓN ÚNICA Radicación 19-250366 LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y
CONSIDERANDO
PRIMERO. Que mediante Resolución No. 42758 del 5 de julio de 2022, la Dirección de Investigación de Protección de Datos Personales, respecto de la actuación adelantada en contra de ARGECO S.A.S EN REORGANIZACION (en adelante ARGECO), resolvió lo siguiente: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad ARGECO S.A.S EN REORGANIZACION identificada con el Nit. 813.002.772-6, de DIECINUEVE MILLONES DOS MIL PESOS ($19.002.000) M/CTE, correspondiente a (500) unidades de valor tributaria- UVT, por la violación a lo dispuesto en i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con ́ el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal h) del artículo 21 de la norma en mención.
ARTÍCULO SEGUNDO: ORDENAR a la sociedad ARGECO S.A.S EN REORGANIZACION, identificada con el Nit. 813.002.772-6, cumplir con la instrucción impartida por esta Dirección en el presente acto administrativo, según lo expuesto en su parte motiva, dentro del término de UN (1) mes siguiente a la ejecutoria de la presente decisión. La instrucción es la siguiente: • La sociedad ARGECO S.A.S EN REORGANIZACION identificada con Nit. 813.002.772-6 deberá actualizar, corregir y/o eliminar, lo que haya lugar, el registro efectuado sobre la base de datos denominada “NOMINA” bajo fecha de radicación del 30 de noviembre de 2018 en el Registro Nacional de Base de Datos - RNBD, en la medida en que infiere esta Dirección que se encuentra duplicada.
De igual forma, debe cumplir con la orden impartida en la Resolución No. 61040 del 6 de noviembre de 2019.”
SEGUNDO. Que ARGECO, a través de su representante legal (en adelante el RECURRENTE) interpuso recurso de reposición y en subsidio de apelación1, cuyos argumentos son los señalados en el escrito del recurso obrante en el consecutivo 30 del radicado 19-250366 remitido el 1 de agosto de 2022.
TERCERO. Que, mediante Resolución No. 79730 del 11 de noviembre de 2022, la Dirección de Investigación de Protección de Datos Personales, resolvió modificar el Artículo Primero de la Resolución No. 42758 del 5 de julio de 2022, en los siguientes términos: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad ARGECO S.A.S. EN REORGANIZACIÓN identificada con el Nit. 813.002.772-6, de DIECINUEVE MILLONES DOS MIL PESOS ($19.002.000) M/CTE, correspondiente a (500) unidades de valor tributaria – UVT, por la violación a lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal h) del artículo 21 de la norma en mención” Así mismo, concedió el recurso de apelación interpuesto de manera subsidiaria.
CUARTO. Que este Despacho coincide con la Dirección de Investigación de Protección de Datos Personales en el análisis y conclusiones respecto al cumplimiento de la oportunidad, presentación y 1 la Resolución No. 42748 del 5 de julio de 2022 fue notificada a ARGECO mediante aviso el 15 de julio de 2022. cumplimiento de los requisitos del recurso objeto de estudio y la competencia de esta Superintendencia.
QUINTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, confirmará el acto administrativo impugnado, conforme a los siguientes argumentos: 1. Deber de Cumplir con las Órdenes impartidas por parte de la Superintendencia de Industria y Comercio. Indicó el RECURRENTE, que, “[u]na vez determinado políticas del tratamiento de datos personales y en concordancia con lo que ordena el Decreto 090 de 2018 emitido por el Ministerio de Comercio, Industria y Turismo modificando lo dispuesto por el decreto 1074 de 2015, en relación al registro ante la RNBD (Registro Nacional de Base de Datos), se realizó el registro y se inició con el proceso de respuestas a las cuestiones del formulario dispuesto por el Gobierno Nacional, mediante el capítulo 26 del Decreto Único 1074 de 2015, el cual al igual estableció́ las condiciones bajo los cuales se deben inscribir en este las bases de datos sujetas a la aplicación de la Ley 1581 de 2012; no obstante, el oficial de privacidad realizó el proceso para el debido registro y el cual fue anotado como completado en el proceso de gestión interno de la empresa, sin embargo, mediante la Resolución Numero 77992 de 2020 por la SIC (Superintendencia de industria y comercio) en la consideración cuarta se observó́ que existían ausencias en la información registrado en cuento a las medidas de seguridad, por lo tanto, inmediatamente se hiso (sic) la debida modificación de la información en el RNBD.” Pues bien, de conformidad con lo establecido en el literal o) del artículo 17 de la Ley 1581 de 2012, los Responsables del tratamiento están en la obligación de cumplir con las instrucciones y requerimientos que imparta esta Superintendencia. La presente actuación administrativa sancionatoria, tuvo su origen en el incumplimiento de la orden impartida a ARGECO por la Dirección de Investigación de Protección de Datos Personales, contenida en la Resolución No. 61040 del 6 de noviembre de 2019.
“ARTÍCULO PRIMERO: Ordenar a la sociedad ARGECO S.A.S. que documente, implemente y monitoree una política de seguridad de la información que contenga medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. La política deberá contener medidas de seguridad reforzada, especiales y más robustas respecto de las bases de datos que contengan datos sensibles.
ARTÍCULO SEGUNDO: La sociedad ARGECO S.A.S. deberá cumplir lo ordenado en esta resolución dentro de los seis (6) meses siguientes a la ejecutoria del presente acto administrativo.
PARAGRAFO PRIMERO: Para demostrar el cumplimiento deberá remitir una certificación suscrita por el Representante Legal de la sociedad ARGECO S.A.S. que acredite que se han implementado las medidas ordenadas. Nótese que la Dirección de Investigación de Protección de Datos Personales otorgó a ARGECO un término perentorio de seis (6) meses siguientes a la ejecutoria de la decisión, para cumplir con la orden impartida en el Artículo Primero, y su demostración consistía en el envío de una certificación suscrita por su Representante Legal.
Conforme a las pruebas allegadas a la presente actuación administrativa, para el momento en que se impuso la sanción que se revisa, ARGECO no había acreditado de la manera solicitada el cumplimiento de la orden. Ahora bien, frente a los argumentos presentados por el RECURRENTE en el recurso de apelación, relacionados con la actualización del registro realizado en el RNBD, este Despacho comparte las consideraciones hechas por la Dirección cuando resolvió el recurso de reposición: De esta manera, esta Dirección encuentra acertada la decisión recurrida, en la medida que se ha probado a lo largo de la actuación administrativa, la negligencia de la sociedad frente al cumplimiento de lo ordenado por esta Superintendencia en la Resolución número 61040 del 05 de noviembre de 2019, tendiente a implementar una políticas de seguridad de la información, en su calidad de Responsable del Tratamiento, lo que a su vez conlleva a concluir que contrario a lo expuesto por la recurrente, la sociedad ARGECO S.A.S EN REORGANIZACIÓN, no ha dado estricto cumplimiento a lo reglamentado en la Ley 1581 de 2012 (…) Aunado a lo anterior, esta Dirección como autoridad de protección de datos personales le ordenó a la sociedad ARGECO S.A.S EN REORGANIZACIÓN, que acreditara el cumplimiento de lo ordenado en la Resolución número 61040 del 05 de noviembre de 2019, a través de una certificación suscrita por el representante legal, documento que tampoco aportó la sociedad.
Así pues, se confirma que la sociedad ARGECO S.A.S EN REORGANIZACIÓN incumplió de manera negligente la orden impartida mediante la Resolución número 61040 del 05 de noviembre de 2019 en la medida en que no acreditó: (i) haber documentado, implementado y monitoreado una política de seguridad dentro del termino establecido en la resolución;
(ii) aportado una certificación expedida por el representante legal que acreditara el cumplimiento de lo ordenado, dentro del término establecido. Como se observa, ARGECO no cumplió con la orden impartida por parte de la Dirección de Investigación de Protección de Datos Personales en la Resolución No. 61040 del 5 de noviembre de 2019, en la medida que, para la fecha en que fue impuesta la sanción que se revisa, no se allegó la certificación suscrita por el Representante Legal, con la que pudiera demostrar que sí había implementado la política de seguridad de la información. Haber realizado una actualización del registro en el RNBD por parte de su Oficial de protección de datos como lo señala el RECURRENTE en su escrito de apelación, no satisface de manera alguna los términos en que fue impartida la ya citada orden. 2.
Proporcionalidad del Monto de la Sanción Impuesta. Indico el RECURRENTE que, “en lo que respecta con la sanción a imponer, no resulta claro ni preciso el mecanismo utilizado para cuantificar las 500 unidades definidas, lo que consideramos vulnera nuestros derechos pues los trámites sancionatorios deben adelantarse con sujeción a los principios que regulan la función pública y gestión administrativa, así como también los derechos de los investigados.” El artículo 22 de la Ley 1581 de 2012, establece que la Superintendencia de Industria y Comercio una vez establecido el incumplimiento de las disposiciones de la Ley por parte del Responsable, adoptará las medidas o impondrá las sanciones correspondientes.
El artículo 23 2, por su parte, define las sanciones que podrá imponer esta entidad a los Responsables y Encargados del Tratamiento de Datos. La Corte Constitucional mediante Sentencia C - 748 de 2011 al estudiar la constitucionalidad del artículo 22 citado, respecto del principio de tipicidad manifestó lo siguiente: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.
Conforme a lo anterior, es suficiente desconocer cualquiera de las disposiciones contempladas en la Ley 1581 de 2012, para que la administración pueda ejercer su potestad sancionatoria, eso sí, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la trasgresión de las normas que amparan el derecho fundamental de habeas data.
Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetos los Responsables del Tratamiento. Así las cosas, encuentra el Despacho que, en el presente caso, se dan los presupuestos requeridos para determinar que la conducta desplegada por ARGECO desconoció lo ordenado en el literal o) del artículo 17 de la Ley 1581 de 2012.
Ahora bien, en lo que tiene que ver con los criterios de graduación de la sanción, establece el artículo 24 de la Ley 1581 de 2012, lo siguiente: 2 ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.
Resulta pertinente reiterar lo expuesto por la Corte Constitucional, en la Sentencia C-748 de 2011, en la cual precisó que los primeros cinco criterios señalados en las normas constituyen agravantes en tanto que el sexto es el único criterio de atenuación de la responsabilidad, así: “Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución”.
La Dirección de Investigación de Protección de Datos Personales, conforme a los hechos que dieron origen a la presente actuación administrativa y las normas vulneradas por parte de ARGECO, frente a los criterios establecidos en el artículo 24 de la Ley 1581 de 2012, dio aplicación al establecido en el literal a) relacionado con la dimensión del daño o peligro a los intereses jurídicos tutelados por la Ley.
Finalmente, resulta pertinente resaltar lo siguiente: i. La multa impuesta a ARGECO ($19.002.000), corresponde al 0.95% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012). ii. El monto de dicha sanción es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa.
Así como del incumplimiento de los deberes impuestos por la Ley 1581 de 2012 a los Responsables del tratamiento. iii. La Resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración de los deberes que ARGECO como Responsable está obligado a cumplir.
Por consiguiente, este Despacho considera que la sanción impuesta es proporcional, en consideración a los hechos que le sirvieron de causa y a la motivación del acto administrativo recurrido encontrando su justificación en la naturaleza de las normas violadas y en el límite dado por el legislador en el 18 de la Ley 1581 de 2012. 3. Situación de la Empresa en Reorganización. Por último, señala el RECURRENTE que “referir un aspecto sustancial, el cual consiste en señalar que una sanción como la señalada en pleno trámite de reorganización como el que nos encontramos supone agravar aún más la situación del ente económico y de paso impedir su posibilidad de recuperación, pues a la sanción le seguirán acciones de cobro ante la imposibilidad de pagar y de esta manera reportes y demás sanciones que agravan nuestra situación empresarial.” Frente a este aspecto del recurso, este Despacho al verificar el acto administrativo que se revisa, encuentra que para el cálculo de la sanción interpuesta se tuvieron en cuenta los estados financieros de los 3 últimos años de la sociedad, precisamente para evitar la imposición de una sanción de carácter confiscatorio.
Frente este aspecto, la Dirección de Investigación de Protección de Datos Personales, al resolver el recurso de reposición explicó lo siguiente: “Esta Dirección procedió a revisar nuevamente la sanción impuesta, con el fin de que con esta no se afecte económicamente a la sociedad ARGECO S.A.S. EN REORGANIZACIÓN; evidenciando una actividad mercantil sostenida, la cual se refleja en sus ingresos operacionales ordinarios, los cuales mejoraron sustancialmente a partir del año 2019, año en el cual se acogió a la Ley 1116 de 2016, Régimen de Insolvencia Empresarial, norma que brinda beneficios importantes en el desarrollo del objeto social de una sociedad, como por ejemplo, el no sometimiento a la renta presuntiva por tres (3) años y la devolución de la Retefuente del impuesto sobre la Renta y entre otros, la flexibilización en aportes de capital conforme a los artículos 40 y 42 ejúsdem” Así mismo, se observa el crecimiento constante tanto de sus activos, como de su patrimonio entre los años 2017, 2018, 2019 y 2020.
Para este mismo periodo de tiempo, la sociedad ARGECO S.A.S. EN REORGANIZACIÓN presentó UTILIDAD OPERACIONAL POSITIVA. Por lo anteriormente descrito, se encuentra que la sociedad ARGECO S.A.S. EN REORGANIZACIÓN, presenta una estructura financiera sana, a pesar de encontrarse en Reorganización Empresarial, condición que no puede presentarse como excusa, como argumenta la recurrente, para evadir algún tipo de responsabilidad, pues como se expuso con anterioridad, está situación especial que adelanta la Superintendencia de Sociedades, otorga beneficios importantes, que afectan positivamente, los resultados de la empresa.” Es necesario precisar que las sanciones que impone esta superintendencia a la persona natural o jurídica en virtud del artículo 22 y siguientes de la Ley 1581 de 2012, son una consecuencia directa a la vulneración de las normas de protección de datos personales, además con ellas se busca promover y garantizar su debido cumplimiento, razón por la cual no puede dársele un efecto confiscatorio que atente contra la situación financiera de la sociedad sancionada, lo cual se considera no sucede en este caso, de acuerdo con el análisis que sobre este aspecto realizó la Dirección. De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirmará la Resolución No. 42758 del 5 de julio de 2022.
En mérito de lo expuesto, RESUELVE:
ARTÍCULO 1. CONFIRMAR la Resolución No. 42758 del 5 de julio de 2022, de conformidad con lo expuesto en la parte motiva de la presente resolución.
ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente resolución a ARGECO S.A.S EN REORGANIZACION, identificado con NIT. 813.002.772-6, a través de su Representante Legal o apoderado, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO 3. INFORMAR el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., Julio 12 de 2023 LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CIELO ANGELA PENA RODRIGUEZ Fecha: 2023.07.12 16:56:33 -05'00' CIELO ÁNGELA PEÑA RODRIGUEZ Proyectó: HFTM Revisó: NTL NOTIFICACION: Sociedad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: ARGECO S.A.S EN REORGANIZACIÓN NIT 813.002.772-6 EDGAR JAVIER AHUMADA AVELLA C.C. 17.349.589 Carrera 47 No. 6-41 Casa 41 Paisaje De Almeria Condominio Campestre Neiva (Huila) argecosas@gmail.com